Wer personenbezogene Daten ohne Berechtigung abruft, weiterleitet oder privat verwendet, verletzt häufig auch seine arbeitsvertraglichen Pflichten. Ein solches Verhalten kann auch eine verhaltensbedingte Kündigung rechtfertigen.
Kündigung oder Abmahnung
Nicht jeder Verstoß gegen die DSGVO oder das BDSG führt zur Beendigung des Arbeitsverhältnisses. Es kommt immer auf den Einzelfall an. Maßgeblich sind die Schwere des Pflichtverstoßes, das Verschulden, die Wiederholungsgefahr und die Frage, ob eine Abmahnung ausgereicht hätte. Dies soll hier erklärt werden.
Klagefrist beachten
Nach dem Zugang einer Kündigung läuft in der Regel eine Frist von drei Wochen. Innerhalb dieser Frist muss die Kündigungsschutzklage beim Arbeitsgericht erhoben werden. Diese Frist sollte der Arbeitnehmer auf keinen Fall verpassen.
Autor dieses Beitrags
Rechtsanwalt Andreas Martin Fachanwalt für Arbeitsrecht in Berlin
Das Wichtigste vorab
Ein einmaliges Versehen ist anders zu bewerten als ein gezielter Datenabruf zu privaten Zwecken. Besonders schwer wiegen die Weitergabe sensibler Informationen an unberechtigte Dritte und der bewusste Missbrauch dienstlicher Zugriffsrechte.
Bei einem steuerbaren Verhalten ist in der Regel zunächst eine Abmahnung erforderlich. Sie kann entbehrlich sein, wenn der Vertrauensbruch so schwer ist, dass der Arbeitnehmer nicht mit einer Hinnahme seines Verhaltens rechnen konnte.
Datenschutzverstöße im Arbeitsverhältnis
Typische Verstöße
In der Regel geht es um den unbefugten Abruf von Personal-, Kunden- oder Gesundheitsdaten. Kündigungsrechtlich erheblich können auch die Weitergabe an außenstehende Personen, die Übertragung dienstlicher Unterlagen auf private Geräte oder die Verwendung betrieblicher Daten für eigene Zwecke sein.
Dies kommt in der Praxis häufig vor.
Auch die Weitergabe von Passwörtern, die bewusste Umgehung technischer Zugriffsbeschränkungen und die Missachtung klarer Sicherheitsanweisungen können eine Pflichtverletzung darstellen. Entscheidend ist nicht allein, ob eine Datenschutzvorschrift verletzt wurde. Maßgeblich ist die konkrete arbeitsvertragliche Pflichtverletzung.
Daten und Verschulden
Gesundheitsdaten, Personalakten und umfangreiche Kundendatensätze sind besonders schutzbedürftig. Ihre unbefugte Weitergabe wiegt regelmäßig schwerer als eine versehentlich falsch adressierte interne E-Mail ohne sensible Angaben.
Man muss unterscheiden zwischen Vorsatz und Fahrlässigkeit. Ein gezielter Abruf aus Neugier oder zu privaten Zwecken spricht für einen erheblichen Vertrauensbruch. Bei einem einmaligen Versehen und unklaren betrieblichen Vorgaben wird eine Kündigung dagegen häufig unverhältnismäßig sein.
Prüfung der Kündigung
Ordentliche Kündigung
Eine ordentliche Kündigung setzt voraus, dass der Arbeitnehmer seine Pflichten erheblich und schuldhaft verletzt hat. Außerdem muss zu erwarten sein, dass es auch künftig zu Störungen kommt. Schließlich darf kein milderes Mittel genügen und die Interessenabwägung muss zugunsten des Arbeitgebers ausfallen.
Dabei ist zu beachten, dass eine Kündigung keine Strafe für vergangenes Verhalten ist. Sie soll weitere Pflichtverletzungen verhindern. Deshalb ist zu prüfen, ob der Arbeitnehmer sein Verhalten nach einer deutlichen Warnung voraussichtlich ändern würde.
Fristlose Kündigung
Bei einer fristlosen Kündigung wird zunächst geprüft, ob der Datenschutzverstoß seiner Art nach einen wichtigen Grund bilden kann. Danach ist zu entscheiden, ob dem Arbeitgeber die Fortsetzung des Arbeitsverhältnisses bis zum Ablauf der Kündigungsfrist im konkreten Fall unzumutbar ist.
Selbst ein erheblicher Datenschutzverstoß führt nicht automatisch zur sofortigen Beendigung. Zu berücksichtigen sind unter anderem die Dauer und der bisherige Verlauf des Arbeitsverhältnisses, die Sensibilität der Daten, ein möglicher Schaden und das Verhalten nach dem Vorfall.
Abmahnung vor Kündigung
Abmahnung als Regel
Bei einem steuerbaren Verhalten ist in der Regel vorher abzumahnen. Dies gilt besonders bei einem erstmaligen fahrlässigen Verstoß, bei unklaren Richtlinien oder wenn keine Daten an außenstehende Personen gelangt sind.
Oft ist es so, dass eine klare Warnung ausreicht, um weitere Pflichtverletzungen zu verhindern. Auch bei Verstößen im Vertrauensbereich kommt es darauf an, ob das beeinträchtigte Vertrauen wiederhergestellt werden kann.
Schwere Ausnahmefälle
Anders kann es bei der gezielten Übermittlung von Patienten- oder Kundendaten an einen Wettbewerber oder bei einem vorsätzlichen Missbrauch besonderer Zugriffsrechte liegen. In diesen Fällen kann die Pflichtverletzung so schwer sein, dass eine vorherige Warnung entbehrlich ist.
Klare Datenschutzrichtlinien, Schulungen und nachvollziehbare Berechtigungskonzepte können die Vorwerfbarkeit erhöhen. Sind die betrieblichen Vorgaben dagegen widersprüchlich oder wurden vergleichbare Verstöße geduldet, kann dies zugunsten des Arbeitnehmers sprechen.
Rechtsprechung zum Datenschutzverstoß
Strenge Kündigungsfälle
Das Bundesarbeitsgericht hatte über zwei außerordentliche Kündigungen nach der Weitergabe von Patientendaten an ein Konkurrenzunternehmen zu entscheiden. Darin lag eine erhebliche Verletzung der arbeitsvertraglichen Rücksichtnahmepflicht. Beide fristlosen Kündigungen waren im Ergebnis unwirksam. Das Gericht hat aber klargestellt, dass ein solcher Verstoß an sich einen wichtigen Grund bilden kann. Dabei ist zu beachten, dass die Wirksamkeit immer von der Interessenabwägung im Einzelfall abhängt (BAG, Urteil vom 28.01.2010 – 2 AZR 1008/08).
Auch der unbefugte Zugriff auf Kundendaten oder die Weitergabe von Patientendaten an nicht berechtigte Personen kann grundsätzlich einen wichtigen Grund bilden. Damit steht die Wirksamkeit der Kündigung aber noch nicht fest. Die Umstände des Einzelfalls und die Interessen beider Seiten müssen trotzdem abgewogen werden.
Abmahnung bleibt wichtig
Eine Entscheidung des LAG Rheinland-Pfalz zeigt die andere Seite. Ein Arbeitnehmer hatte mehrfach unbefugt Sozialdaten seiner Mutter abgerufen, Unterlagen weitergeleitet und Vermerke erstellt. Das Gericht sah darin zwar eine erhebliche Nebenpflichtverletzung, hielt die Kündigung im konkreten Fall aber mangels negativer Zukunftsprognose und ohne vorherige Abmahnung für unverhältnismäßig (LAG Rheinland-Pfalz, Urteil vom 30.07.2025 – 7 SLa 293/24).
Die Zahl der Zugriffe ist deshalb nicht allein ausschlaggebend. Dabei ist zu beachten, dass es auch auf den Zweck des Zugriffs, die Stellung des Arbeitnehmers, die betroffenen Daten und die Möglichkeit einer Verhaltensänderung ankommt.
Aufklärung durch Arbeitgeber
Kontrolle und Beweise
Der Arbeitgeber darf einen möglichen Datenschutzverstoß untersuchen. Dabei muss er aber seinerseits die Persönlichkeitsrechte und den Beschäftigtendatenschutz beachten. Eine E-Mail-Auswertung, Logfilekontrolle, Videoüberwachung oder Observation ist nicht ohne Weiteres zulässig.
Das Bundesarbeitsgericht hat entschieden, dass Aufnahmen aus einer offenen Videoüberwachung nicht automatisch unverwertbar sind, wenn sie ein vorsätzliches Fehlverhalten belegen sollen. Ein möglicher Datenschutzverstoß des Arbeitgebers führt nicht in jedem Fall zu einem Beweisverwertungsverbot (BAG, Urteil vom 29.06.2023 – 2 AZR 296/22).
Anders lag ein Fall, in dem ein arbeitsunfähig erkrankter Arbeitnehmer ohne ausreichende Grundlage durch eine Detektei überwacht wurde. Das BAG bestätigte die Entscheidung der Vorinstanz und sprach 1.500 Euro immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO zu. Maßgeblich waren Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 und § 22 Abs. 2 BDSG, deren Voraussetzungen im konkreten Fall nicht vorlagen (BAG, Urteil vom 25.07.2024 – 8 AZR 225/23).
Beruht die Kündigung nur auf einem dringenden Verdacht, gelten zusätzlich die Anforderungen an eine Verdachtskündigung. Der Arbeitnehmer muss vor Ausspruch der Kündigung angehört werden und Gelegenheit erhalten, den Verdacht zu entkräften.
Form und Fristen
Besondere Beschäftigte
Ein verpflichtend benannter betrieblicher Datenschutzbeauftragter genießt nach § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG besonderen Kündigungsschutz. Eine ordentliche Kündigung ist grundsätzlich ausgeschlossen. Ein eigener Datenschutzverstoß ist allerdings kein Freibrief. Auch hier muss der konkrete Pflichtverstoß geprüft werden.
Formale Anforderungen
Die Kündigung muss nach § 623 BGB schriftlich erfolgen. Besteht ein Betriebsrat, muss dieser vor der Kündigung ordnungsgemäß angehört werden. Bei einer außerordentlichen Kündigung ist außerdem die Zweiwochenfrist des § 626 Abs. 2 BGB zu beachten.
Hinweis
Arbeitnehmer sollten vor einer Anhörung oder schriftlichen Stellungnahme keine vorschnellen Erklärungen abgeben. Einmal gemachte Angaben lassen sich später häufig nur schwer korrigieren.
Ergebnis im Einzelfall
Ein schwerer Datenschutzverstoß kann eine ordentliche oder in Ausnahmefällen eine fristlose Kündigung rechtfertigen. Besonders problematisch sind vorsätzliche Datenabrufe, die private Nutzung dienstlicher Zugriffsrechte und die Weitergabe sensibler Informationen an Dritte.
Es gibt aber keinen Automatismus. Entscheidend bleiben die konkrete Pflichtverletzung, das Verschulden, die Wiederholungsgefahr, die Erforderlichkeit einer Abmahnung und die Interessenabwägung.
Anwalt für Arbeitsrecht in Berlin bei Kündigung wegen Datenschutzverstoß
Als Fachanwalt für Arbeitsrecht in Berlin vertrete ich Arbeitnehmer nach einer Kündigung und prüfe insbesondere den behaupteten Pflichtverstoß, die Erforderlichkeit einer Abmahnung, die Interessenabwägung und die formalen Voraussetzungen der Kündigung.
Bei einer Kündigung wegen eines Datenschutzverstoßes kommt es häufig auf Einzelheiten der betrieblichen Zugriffsrechte, der internen Vorgaben und der Sachverhaltsaufklärung an. Diese Unterlagen sollten möglichst frühzeitig gesichert und rechtlich eingeordnet werden.
Häufige Fragen zur Kündigung wegen Datenschutzverstoß
Kann ein Datenschutzverstoß eine fristlose Kündigung rechtfertigen?
Ja. Eine fristlose Kündigung kann bei einem besonders schweren Datenschutzverstoß in Betracht kommen, etwa bei vorsätzlichem Datenmissbrauch oder der Weitergabe sensibler Daten an unberechtigte Dritte. Trotzdem sind immer der konkrete Pflichtverstoß, mildere Mittel und die Interessenabwägung zu prüfen.
Ist vor der Kündigung wegen eines Datenschutzverstoßes eine Abmahnung erforderlich?
Bei steuerbarem Verhalten ist grundsätzlich zunächst eine Abmahnung erforderlich. Sie kann entbehrlich sein, wenn keine Verhaltensänderung zu erwarten ist oder der Verstoß so schwer wiegt, dass seine Hinnahme für den Arbeitnehmer erkennbar ausgeschlossen war.
Reicht jede Verletzung der DSGVO für eine Kündigung aus?
Nein. Ein datenschutzrechtlicher Fehler ist nicht automatisch ein ausreichender arbeitsrechtlicher Kündigungsgrund. Entscheidend sind unter anderem Vorsatz oder Fahrlässigkeit, Sensibilität und Umfang der Daten, Vertrauensbruch, Wiederholungsgefahr und Verhältnismäßigkeit.
Darf der Arbeitgeber E-Mails oder Protokolldaten zur Aufklärung auswerten?
Eine Sachverhaltsaufklärung ist möglich, muss aber die Persönlichkeitsrechte und den Beschäftigtendatenschutz beachten. Ob E-Mails, Logfiles oder Videoaufnahmen verwertet werden dürfen, hängt insbesondere von Anlass, Transparenz, Erforderlichkeit und Verhältnismäßigkeit der Maßnahme ab.
Was sollte ein Arbeitnehmer bei dem Vorwurf eines Datenschutzverstoßes tun?
Arbeitnehmer sollten keine vorschnelle Stellungnahme abgeben, sondern zunächst den konkreten Vorwurf, die bestehenden Zugriffsrechte und die betrieblichen Datenschutzregeln prüfen lassen. Nach Erhalt einer Kündigung ist außerdem die Dreiwochenfrist für die Kündigungsschutzklage zu beachten.
Gilt für betriebliche Datenschutzbeauftragte ein besonderer Kündigungsschutz?
Ein verpflichtend benannter betrieblicher Datenschutzbeauftragter genießt nach dem BDSG besonderen Kündigungsschutz. Eine ordentliche Kündigung ist grundsätzlich ausgeschlossen; erforderlich ist regelmäßig ein wichtiger Grund, der eine außerordentliche Kündigung tragen kann.
Rechtsanwalt Andreas Martin